TW201317823A - 一種雲端安全儲存系統 - Google Patents

Abstract

本發明係為一種雲端安全儲存系統，在使用者透過瀏覽器或網路文件系統(Network File System，NFS)介面，將檔案資料傳送至雲端儲存服務提供商前，對使用者端資料實施安全機制處理，始可將資料傳送至後端不同類型的雲端儲存服務提供商伺服器，並將使用者檔案之相關元資料存放在使用者可自行控制的範圍內；下載雲端儲存伺服器檔案，則透過使用者端自行持有的元資料資訊及私有金鑰，對從雲端儲存伺服器下載之檔案進行模組解密等處理，並確保其資料完整性。可做到資料檔案安全性全權由使用者自行掌控，以達雲端資料儲存之機密性、完整性、刪除確定性的安全要素。

Description

一種雲端安全儲存系統

本發明係關於一種雲端安全儲存系統，使用者端透過前端使用者介面無線存取橋接器(Access Point，AP)、瀏覽器或NFS介面，將檔案上傳至雲端安全儲存伺服器時，透過資訊安全模組，進行檔案資料的安全性強化後，再透過表徵狀態轉移(representational State Transfer，REST)協定進行檔案上下載，以預防雲端儲存服務提供商可讀取檔案內容之問題。

資訊產業、網路基礎設施與網路技術不斷的提升，促成了雲端服務時代的來臨，讓雲端服務成為近來最熱門的話題。雲端儲存服務是運用網路溝通多個儲存服務主機，讓使用者能利用多樣化的連線裝置，如：個人電腦、筆記型電腦及智慧型手機等設備，藉由網路連線隨時隨地存取及使用雲端儲存服務提供商所提供之整合性儲存空間及資源。

本發明係關於一種應用於雲端儲存服務之系統，雲端儲存服務後端採用分散式檔案系統技術與架構，所衍生的資訊安全管理問題與以往傳統資訊安全領域不盡相同，例如分散式檔案系統技術會自行將檔案進行複製備份(replicate)，加上雲端儲存服務其主機儲存伺服器，皆建置儲存於雲端儲存服務提供商的機房，而不在使用者自己可控制的範圍，此一特性讓大型企業在使用雲端儲存服務時有很大的疑慮。然而，迄今所有的雲端安全儲存服務提供商，皆無法保證其檔案資料刪除的確定性。

由於每個雲端儲存服務提供商之安全機制並不透明，無法確定使用者端所上傳至雲端儲存之檔案是否有安全性上的顧慮，可能整份檔案被雲端服務提供商進行備份至其他伺服器，或是由檔案名稱判斷出為使用者之敏感性資料，以及檔案並未加密造成雲端服務提供商可直接讀取資料內容，甚至可能整份檔案遭到駭客的竊取。

本發明之目的即在於提出一種雲端安全儲存系統，在使用者端上傳檔案資料至雲端儲存伺服器，或是從雲端儲存伺服器下載資料至使用者端時，自動化透過資訊安全模組，進行檔案資料的安全性強化，達到雲端儲存服務之安全性提升，增強使用者對雲端儲存之信賴度，助益雲端儲存技術之推廣。使得雲端儲存服務可以達到資料機密性、資料完整性、資料可用性、資料刪除確定性之資料分享便利性等目的。

達成上述發明目的之一種雲端安全儲存系統，係應用於雲端儲存服務的檔案資料安全性系統，在使用者端透過瀏覽器或NFS介面進行檔案上傳或下載處理流程中加入資訊安全模組，由於使用者端所使用的介面及資訊安全模組皆在使用者端實施，如此可做到資料檔案安全性全權由使用者自行掌控，以達到雲端安全儲存之目的，並且資訊安全模組可選擇將分解後的各個檔案資料片段，各別存放至不同指定的雲端儲存服務提供商。資訊安全模組包含檔案分解合併模組、加密解密模組、壓縮解壓縮模組、亂數檔案名稱模組、使用者元資料檔案存取解析模組、檔案資料雜湊模組。並且提供使用單一統一資源標識符(Uniform Resource Identifier，URI)基於讀取次數及時效性實施檔案分享。

本發明所提供之一種雲端安全儲存系統，與其他習用技術相互比較時，更具備下列優點：

1.　本發明提供給使用者瀏覽器介面，使用者可透過任何具備瀏覽器介面的設備及行動裝置，連線到本發明之雲端安全儲存系統，不需另外架設硬體模組，即可透過瀏覽器介面，經過本發明之資訊安全模組，達成雲端儲存服務資料之安全性強化。

2.　本發明提供給使用者NFS介面，使用者可透過掛載磁碟的方式，在NFS介面來使用雲端儲存服務提供商所提供的服務。

3.　經本發明所提供之資訊安全模組傳送到雲端儲存服務提供商的資料，就算一旦雲端儲存服務提供商資料全部遭入侵取得的情況下，其使用者的資料仍然具備機密性。

4.　本發明將使用者元資料儲存在使用者可自行控管的範圍內，元資料內紀錄了檔案對應的關係，而後端雲端儲存服務提供商只能看到零散沒有意義的亂數檔案名稱以及亂數檔案大小片段。

5.　本發明將使用者所預傳送的檔案資料，分散儲存於各個不同的雲端儲存服務提供商，各個雲端儲存服務提供商拿到的只是檔案片段的資料。

6.　本發明可確保其雲端儲存資料的刪除確定性，雲端儲存服務提供商即使並未真正刪除使用者的檔案時，也可確保其檔案無法被使用，因此達到其雲端儲存資料的刪除確定性。

7.　本發明提供之檔案加密方法，為高級加密標準(Advanced Encryption Standard，AES)256位元(bit)長度之對稱式加密法，金鑰的產生之方法為亂數產生一把金鑰(Session Key)，再將此金鑰展為AES-256bit的格式，並且配合非對稱式加密的方式，將其AES-256bit的金鑰使用公開金鑰進行加密，並且放置於預傳送之檔案檔頭後，始可傳送至後端雲端儲存服務提供商。下載檔案則先行使用私密金鑰對檔頭進行解密，拿到AES-256bit的金鑰後，再對檔案內容進行解密取得原始檔案內容。

8.　本發明具備檔案分享機制，本系統可設定檔案分享之時效性及取得次數之條件，並透過產生URI的方式，來對檔案進行分享。

請參閱圖一所示，為本發明一種雲端安全儲存系統之實施架構示意圖，使用者透過前端使用者介面2，進行檔案的上傳及下載動作，資訊安全模組1則負責接收前端使用者介面2所傳送過來的資訊，並且對使用者欲傳送或接收的檔案進行資訊安全的強化，不論上傳或下載檔案資訊安全模組1皆會與雲端儲存服務提供商3進行溝通，進行傳輸或取得檔案，其中雲端儲存服務提供商3可能為各種不同的服務提供商。

使用者可透過前端使用者AP介面21、瀏覽器介面22或NFS介面23，選擇欲上傳至雲端服務提供商3之檔案，檔案經由前端使用者介面2傳送至資訊安全模組1，資訊安全模組1將對檔案資料進行資訊安全強化，經過檔案資料雜湊模組11，將檔案進行MD5雜湊演算法(Message-Digest algorithm 5，MD5)的雜湊法(Hashing)運算，以便未來進行檔案之完整性比對，隨後經過檔案分解合併模組12將檔案進行亂數檔案大小分解成若干片段，再經過檔案壓縮解壓模組13將檔案以使用自由軟體的文件壓縮程序壓縮(GNU ZIP，GZIP)進行壓縮以節省後端儲存的空間，再透過檔案加密解密模組14對將各個分解後的檔案進行加密的動作，其中檔案加密解密模組14的加密演算法採用亂數產生對稱式的AES-256bit長度金鑰，對檔案內容進行加密，隨後將此對稱式金鑰置於檔案的檔頭，並將檔頭以非對稱式的公開金鑰進行加密，完成檔案加密之動作。再利用亂數檔案名稱產生模組15，賦予每個分解後的片段檔案擁有唯一的亂數檔案名稱，其中檔案名稱使用產生通用唯一識別碼(Universally Unique Identifier，UUID)的方式實作，並且將原始檔案名稱對應到亂數檔案名稱的元資料資訊透過使用者元資料存取解析模組16將資訊存入使用者可自行控管的元資料檔案中，則完成對檔案資料實行資訊安全強化的動作。資訊安全模組1最後再將完成資訊安全強化後的檔案片段，以REST的協定將檔案以多工的方式傳送至各個雲端儲存服務提供商3的儲存空間上，即完成檔案上傳的動作。

使用者亦可透過前端使用者AP介面、瀏覽器介面或NFS介面，選擇欲下載至使用者端之檔案，資訊安全模組1則透過使用者元資料存取解析模組16，得到使用者欲下載的檔案所分別對應到後端的多個亂數檔案名稱，並且向後端雲端儲存服務提供商3請求取得檔案，資訊安全模組1取得檔案資料片段後，隨後檔案加密解密模組13則將檔案之檔頭使用私有金鑰進行解密，解密後取得先前所產生採用亂數產生對稱式的AES-256bit長度金鑰，再利用此金鑰對檔案內容進行解密，得到解密過後的各個檔案片段，隨後利用壓縮解壓縮模組14對各個檔案片段進行解壓縮的動作，得到解壓縮後的各個檔案片段，再利用檔案分解合併模組12對各個檔案片段進行合併，得到使用者下載的一個完整檔案，此時檔案資料雜湊模組11對此完整檔案進行雜湊Hashing的運算及比對，以確保檔案的完整性無誤後，資訊安全模組透過前端使用者介面提供檔案下載的服務給使用者，最後使用者從前端使用者介面將檔案下載到使用者端磁碟中，即完成檔案下載的動作。

若使用者欲進行檔案資料分享，可設定檔案分享之時效性及取得次數之條件，產生唯一URI的方式，來對檔案進行分享。

上列詳細說明乃針對本發明之一可行實施例進行具體說明，惟該實施例並非用以限制本發明之專利範圍，凡未脫離本發明技藝精神所為之等效實施或變更，均應包含於本案之專利範圍中。

綜上所述，本案不僅於技術思想上確屬創新，並具備習用之傳統方法所不及之上述多項功效，已充分符合新穎性及進步性之法定發明專利要件，爰依法提出申請，懇請　貴局核准本件發明專利申請案，以勵發明，至感德便。

1．．．資訊安全模組

11．．．檔案資料雜湊模組

12．．．檔案分解合併模組

13．．．壓縮解壓縮模組

14．．．檔案加密解密模組

15．．．亂數檔案名稱模組

16．．．使用者元資料存取解析模組

2．．．前端使用者介面

21．．．AP介面

22．．．瀏覽器介面

23．．．NFS介面

3．．．雲端儲存服務提供商

請參閱有關本發明之詳細說明及其附圖，將可進一步瞭解本發明之技術內容及其目的功效；有關附圖為：

圖一雲端安全儲存系統之實施架構示意圖。

1．．．資訊安全模組

11．．．檔案資料雜湊模組

12．．．檔案分解合併模組

13．．．壓縮解壓縮模組

14．．．檔案加密解密模組

15．．．亂數檔案名稱模組

16．．．使用者元資料存取解析模組

2．．．前端使用者介面

21．．．AP介面

22．．．瀏覽器介面

23．．．NFS介面

3．．．雲端儲存服務提供商

Claims (11)

1. 一種雲端安全儲存系統，其中包括：前端使用者介面，其用於提供使用者進行檔案上傳或下載之操作介面；以及資訊安全模組，其用於負責接收該前端使用者介面所傳送之檔案及資訊，並和後端雲端儲存服務提供商進行溝通。
2. 如申請專利範圍第1項所述之一種雲端安全儲存系統，其中該資訊安全模組包含：檔案資料雜湊模組，其用於檔案上傳前及下載後進行雜湊運算，以進行檔案完整性的比對；檔案分解合併模組，其用於檔案上傳時，將進行檔案分解之動作，使得檔案是以亂數檔案大小片段存放在雲端儲存服務提供商；檔案下載時，將進行檔案片段合併的動作，還原為原始之檔案；壓縮解壓縮模組，其用於檔案上傳時，將檔案進行壓縮的動作，可節省檔案在雲端儲存服務商的使用空間；檔案下載時，將進行檔案解壓縮的動作，還原成未壓縮之檔案格式；檔案加密解密模組，其用於檔案上傳時，將檔案進行加密的動作，確保檔案在雲端服務提供商端的空間為無法讀取之狀態；檔案下載時，則進行檔案解密之動作，加解密方式採用對稱式密碼演算法配合非對稱式金鑰方式；亂數檔案名稱模組，其用於檔案傳送至雲端儲存服務提供商時，其分解後各個檔案片段之檔案，採用亂數檔案名稱給予命名；使用者元資料存取解析模組，其用於檔案上傳時，將原始檔案名稱對應到亂數檔案名稱，儲存到使用者元資料中，下載時則從使用者元資料取得相關對應資訊，使用者元資料儲存在使用者可自行控管之範圍內。
3. 如申請專利範圍第1項所述之一種雲端安全儲存系統，其中該前端使用者介面，係包含無線存取橋接器、瀏覽器或網路文件系統之使用者介面。
4. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該檔案資料雜湊模組係採用MD5雜湊演算法演算，在上傳及下載前後進行比對，以確保其檔案資料完整性。
5. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該檔案分解合併模組，係可自行選擇預分解的數量，分解之檔案大小則依亂數產生決定。
6. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該壓縮解壓縮模組，係使用自由軟體的文件壓縮程序壓縮及解壓縮格式，可以更加節省其後端模組之儲存空間
7. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該檔案加解密模組係採用對稱式密碼演算法配合非對稱式金鑰方式，加密方法使用亂數產生一把私密金鑰，再將此金鑰展為高級加密標準格式對檔案內容進行加密，再將高級加密標準的金鑰進行加密後放至檔頭，完成加密的動作。
8. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該檔案加解密模組係採用對稱式密碼演算法配合非對稱式金鑰方式，解密方法使用私密金鑰將檔頭進行解密，取得高級加密標準的對稱式金鑰後，再對檔案內容部份進行解密，完成解密的動作。
9. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該亂數檔案名稱模組係使用亂數檔案名稱來表示各分解過後的檔案資料片段，該亂數檔案名稱則以產生通用唯一識別碼的方式實作。
10. 如申請專利範圍第2項所述之一種雲端安全儲存系統，其中該使用者元資料存取解析模組係將原始檔案名稱對應到分解後該亂數檔案名稱模組的資訊存放位置再至使用者之元資料，並且該使用者元資料存放至使用者可自行控管的使用範圍內。
11. 如申請專利範圍第1項所述之一種雲端安全儲存系統，其中該資訊安全模組係可選擇將分解後的各個檔案資料片段，各個別欲存放至不同指定的雲端儲存服務提供商中。